Autenticação

A API autentica cada requisição com um token gerado no painel. O token define quais links a integração pode acessar e usa a cota do plano contratado.

Envie o token no cabeçalho

Authorization: Bearer SEU_TOKEN

Inclua esse cabeçalho em todas as requisições. Tokens ausentes, inválidos, vencidos ou revogados retornam HTTP 401. Nos exemplos desta documentação, o token é lido da variável de ambiente PQNO_TOKEN.

Acesso pessoal e acesso da empresa

• Pro: o token é pessoal e permite gerenciar os links de quem o gerou.
• Business: um administrador gera o token da empresa para gerenciar os links de todas as pessoas dessa empresa. A cota diária é compartilhada pela empresa.

O campo criado_por identifica o autor de cada link. O token da empresa permite filtrar a listagem por usuario e consultar os números por pessoa em Resumo da conta. Ao criar um link com esse token, o autor é o administrador que o gerou.

A geração de QR Code por link_id ou perfil usa os links e o Link na Bio de quem gerou o token. Para um link de outra pessoa da empresa, consulte sua url_curta e envie-a em conteudo, conforme Gerar QR Code.

Gerencie os tokens no painel

Abra API para gerar um token com identificador e validade de 24 horas a 1 ano. A tela também mostra Cotas de hoje e Seus tokens, com situação, data de criação e último uso.

Para substituir um token, gere o novo, atualize a integração e confirme que ela funciona antes de revogar o anterior. A revogação é imediata e definitiva: a próxima requisição com o token revogado retorna 401.

Entenda as recusas de acesso

HTTP 403 indica que o token foi reconhecido, mas não tem autorização para a operação. Isso pode acontecer se o plano deixar de incluir a API, a conta for desativada ou o administrador que gerou o token da empresa perder esse papel.

Nesses casos, o acesso pode voltar quando a condição for regularizada, desde que o token continue válido e não tenha sido revogado. Consulte Respostas e erros antes de gerar um novo token.

Guarde o token com segurança

• Use um token por integração para poder revogar acessos separadamente.
• Armazene-o no servidor, fora do repositório e dos registros de requisição.
• Mantenha as chamadas autenticadas no servidor; código distribuído em navegadores ou aplicativos expõe o token.
• Escolha validade curta para testes e substitua o token de produção antes do vencimento.
• Revogue imediatamente um token exposto e gere outro.